Default Domain Policy - Einstellung maximales Kennwortalter zieht nicht

[daabm 1.348]

Das sieht MS leider anders - im MVP-Programm wurde die komplette GPO-Expertise letzes Jahr gekickt... "OnPremise - braucht doch keiner mehr..."

 

BTT: Wenn die Kennwortrichtlinien nirgends außer in der DDP gesetzt sind, könnte man alternativ auch direkt per ADSIEdit die Domain Attribute bearbeiten, die wandern dann - it's magic! - in die DDP zurück.

[NorbertFe 2.027]

So Legacy Technology braucht ja auch niemand mehr :p

[Marco31 33]

Für mich ein typischer Fall von "Ich säge an dem Ast auf dem ich sitze"... Die Verwaltbarkeit der Clients über GPO ist eines DER Argumente für Windows Clients in der Domäne, zumal ja auch nicht erkennbar ist wie MS das sich ohne GPOs vorstellen würde. Und bis auch alle Clients in einer wie auch immer gearteten Cloud gehosted werden läuft noch sehr viel Wasser den Rhein runter. Wobei ich mir sowas nicht in meinen schlimmsten Albträumen ausmalen möchte.

[NilsK 2.930]

Moin,

 

mal langsam. Nur weil ein Teil eines Community-Programms nach über 15 Jahren eingestellt wurde, stellt Microsoft ja noch lange nicht die Technik als solche ein. 

 

Microsofts Weg in die Cloud dürfte nach all den Jahren wirklich niemanden mehr überraschen. Man muss sich also auch nicht bei jeder Erwähnung drüber aufregen. "On-prem" passiert nur noch vergleichsweise wenig, aber es funktioniert weiter, wird weiter supportet und es wird auch noch dran entwickelt. Dass das möglicherweise weniger ist als man als Kunde oder Experte möchte, war in Wirklichkeit vor 15 Jahren auch schon so, wenn auch vielleicht auf etwas anderem Niveau. 

 

Wer Cloud nicht will, muss ja nicht. Auch mit Microsoft-Produkten. Die eine oder andere Technik mag ein Auslaufmodell sein, aber das ist nach so langer Zeit auch nicht verwunderlich - und es geht auch nicht so schnell, dass einem in absehbarer Zeit ein Ast fehlen würde. 

 

Gruß, Nils

 

[testperson 1.674]

vor 2 Minuten schrieb NilsK:

dass einem in absehbarer Zeit ein Ast fehlen würde. 

Selbst wenn, dann wachsen in der Regel neue Äste, ganze Bäume oder vielleicht auch Wälder. ;)

Und das man sich auf seine "alten Tage" auch mal mit was Neuem auseinandersetzen muss sollte, dürfte in der IT eigentlich niemanden wundern.

 

[daabm 1.348]

Bin schon von Batch über VBS nach PS gewandert - InTune möchte ich mir nicht antun Aber wir sind schon wieder OT...

[Marco31 33]

So, mal eine Rückmeldung zum eigentlichen Thema. Ich habe heute morgen die Kennwortlänge von 14 auf 20 Zeichen umgestellt. Und schon werden wieder die SceCli Fehler 1202 geloggt, net accounts /Domain zeigt weiterhin 14 Zeichen an. Ziemlich blöde...

[Marco31 33]

@Norbert: Kannst du das bei dir mal testen wenn du Zeit hast? Wäre schon interessant ob das ein generelles Problem ist oder mit den "Altlasten" zusammen hängt.

[NorbertFe 2.027]

Hi, bin noch ne Woche im Urlaub. Danach gern.

[Marco31 33]

Ok ?

[Marco31 33]

Heute habe ich gesehen dass Marc Heitbrink das Thema auf gruppenrichtlinien.de hat - es ist wohl tatsächlich so dass mehr als 14 Zeichen von Haus aus nicht geht... ?

https://www.gruppenrichtlinien.de/artikel/active-directory-security-breach-15-zeichen-kennwortrichtlinie-nicht-moeglich/

bearbeitet 6. Dezember 2019 von Marco31

[daabm 1.348]

Mit FGPP geht das problemlos

[lefg 276]

Moin

 

Abeseits -OT- von der Problemstellung hier: Eines der ersten Ratschläge die ich damals für den Umgang mit Gruppenrichtlinien erhielt:

 

- Keine Änderung am der Default Domain Policy vorzunehmen.

- Für eine Änderung erstelle eine neue Richtlinie nur für diesen Zweck, benenne diese nach dem Zweck.

 

 

vor 10 Stunden schrieb daabm:

FGPP

 

https://www.windowspro.de/wolfgang-sommergut/fine-grained-password-policy-kennwort-regeln-fuer-gruppen-festlegen

https://blogs.technet.microsoft.com/canitpro/2013/05/29/step-by-step-enabling-and-using-fine-grained-password-policies-in-ad/

bearbeitet 7. Dezember 2019 von lefg

[NorbertFe 2.027]

vor 1 Stunde schrieb lefg:

Keine Änderung am der Default Domain Policy vorzunehmen.

Das is so pauschal, dass man es pauschal ablehnen kann. Sinnvolle Änderungen sind bspw. Die Kennwortrichtlinien. ;)

[lefg 276]

vor 2 Stunden schrieb NorbertFe:

Sinnvolle Änderungen sind bspw. Die Kennwortrichtlinien. ;)

 

Glaube ich gerne- Wir hatten die Kennwortrichtlinie folgend der DDP etabliert mit der Bezeichnung Änderung der Kennwortrichtlinie. Spricht etwas dagegen?